Proaktive Prüfverfahren - Der neue Trend in der Virenerkennung

Martin Siemens

Diese geheimen Zugangsdaten wie TANs, PINs oder Kennwörter werden dann dazu verwendet, wirtschaftlichen Schaden anzurichten oder sich unerlaubt persönlich zu bereichern. Zu diesem Zweck werden Rootkits oder Backdoors auf dem jeweiligen Rechner platziert, die häufig vom Anwender nicht identifiziert werden können und unerkannt wichtige Daten übertragen. Das zunehmend kriminelle Potential dieser Angriffe sollten Unternehmen keinesfalls unterschätzen.

Zahlreiche Untersuchungen bestätigen, dass sich die Angriffsvarianten deutlich verschieben. So wurden allein im Januar insgesamt 17.877 neuartige Phishing - Versuche gezählt. Für das Jahr 2006 werden lediglich 995 neue Viren erwartet. Die Zahl der Trojaner, Rootkits oder auch Spyware Attacken jedoch werden auf 31.977 geschätzt, was verdeutlicht, in welche Richtung die Entwicklung geht.

Somit wird es in Zukunft nicht ausreichen, Virensignaturen bereitzustellen, die durchschnittlich erst nach 8 Stunden beim Nutzer ankommen, denn genau dieses Zeitfenster bietet zu viel Raum, um kritische Daten zu verlieren.

Zeitlicher Ablauf eines Virenausbruchs

Um dieser Trendwende hin zu Rootkits und Spyware entgegenzuwirken und die Zeiträume bis zur Bereitstellung von Signaturen wesentlich zu verkürzen, müssen Hersteller von AntiVirus-Software Technologien entwickeln, die einen Teil der Gefahren rein durch eine pro-aktive Erkennung eliminieren. Mit pro-aktiver Erkennung ist gemeint, Viren ohne ein Signaturupdate erfassbar zu machen. Damit ist es möglich die benötigten Updates vom zentralen Server zu reduzieren und das Zeitfenster für einen erfolgreichen Angriff gegen null laufen zu lassen. Der Zusatznutzen, der gerade im Firmenumfeld spürbar ist, besteht in der geringeren Anzahl der durchzuführenden Updates, die in gewissem Maße auch die Systemressourcen beeinflussen, die in der Regel dringend benötigt werden.

Dazu hat die Softwin GmbH im Oktober 2004 damit begonnen, ein Frühwarnsystem namens "HiVE" (Heuristik in virtual Environment) zu entwickeln, welches in der Lage ist, einen erheblichen Anteil der Gefahrenpotentiale in Echtzeit zu erkennen und zu eliminieren. Technologisch wurde das Sandbox-Verfahren zu Grunde gelegt. Dabei wird ein eigenständiger Rechner innerhalb eines Computers simuliert. Diese Simulation dient zur Analyse potentiell bösartiger Software. Da durch die langjährige Erfahrung die Wege solcher Schädlinge prinzipiell bekannt sind, kann diese Technik das Verhalten der Schadsoftware durch die Simulation nachvollziehen und als Virus erkennen. Andererseits ermöglicht HiVE Viren zu erkennen, die als Mutanten erneut in Umlauf gebracht wurden. Diese Erkennung erfolgt durch den so genannten Fingerabdruck, der den Ursprung des Schädlings erkennen lässt und somit identifiziert.

Sechs Monate nach Einführung wurden laut Untersuchungen von AV-Test in Magdeburg bereits 60% der Gefahrenquellen eliminiert. Durch die konstante Weiterentwicklung und optimale Filtereinstellungen liegen die Fehlalarme mittlerweile unter 1%. Ziel ist es nun, HiVE auf eine Erfolgsquote über 80% zu bringen. Für die Zukunft wird Früherkerkennung eine der strategischen Entwicklungsplattformen von Softwin sein.

BitDefender-Heuristik in virtueller Umgebung

Für die AntiVirenhersteller, die allesamt an solchen Technologien arbeiten, besteht der Vorteil darin, mehr Entwicklungsressourcen für neue Schadsoftware wie Rootkits etc. bereitzustellen. Programmierer von Viren sind den Anbietern von Sicherheitslösungen immer einen Schritt voraus. Die Kunst, hochwertige und wirksame Sicherheitslösungen bereitzustellen besteht in der Fähigkeit, sich gedanklich in die Welt der Hacker zu versetzen und daraus dann Lösungsansätze zu entwickeln.

Einen Ausblick zu wagen, erscheint hinsichtlich der Vielzahl der Möglichkeiten schwierig. Dennoch ist der Trend zum "mobilen Virus" durchaus schon jetzt abzusehen. Gerade im Bereich der Unternehmen, die ihre Mitarbeiter immer häufiger mit Handhelds, PDAs und Organizern ausstatten, ist die Gefahr nicht zu unterschätzen. Bereits heute gibt es eine Vielzahl von Viren, die auf Symbian- oder CE-Geräten aktiv sind. Bei der Synchronisation im Office wird der Virus dann zur wirklichen Bedrohung. Insofern ist die Entwicklung von effektiven Sicherheitslösungen für den Mobil Bereich der nächste logische Schritt für die Softwin GmbH. Diese Lösungen werden Mitte des Jahres zur Verfügung stehen.

www.bitdefender.at